PS-00260-2024

1/23  Expediente N.º: EXP202408283 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 27/07/2023 interpuso reclamación ante la Agencia Española de Protección de Datos en la que se ponen de manifiesto hechos que podrían ser constitutivos de una infracción imputable a WAGESTREAM SPAIN S.L.U., con NIF B02873420 (en adelante, la parte reclamada o WAGESTREAM o Proveedor). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el 19/07/2023, la empresa matriz Servinform, S.A. (en adelante Servinform o empresa matriz) comunica a la RLPT de la empresa filial Diagonal Company Services & Solutions, S.L. (en adelante Diagonal), en la que trabaja, la habilitación de un sistema de anticipo de nómina a través de una empresa externa llamada WAGESTREAM para todo el grupo de empresas de Servinform, sin haber sido autorizado ni solicitado por ningún trabajador. El 20/07/2023 la parte reclamante recibió, en su correo personal y no el de empresa, un correo electrónico de la empresa externa, WAGESTREAM, informando de los servicios contratados por la matriz, por lo que solicitó información a RRHH de esta última información sobre los datos cedidos a la empresa externa. El 24/07/2023 recibe correo de RRHH de la matriz indicando que cancelan el servicio externo e informando de que dicha empresa ha accedido únicamente al nombre, apellidos y correo electrónico personal de los trabajadores del grupo. Ese mismo día la parte reclamante accedió a la aplicación de la empresa externa y observó que los datos cedidos de los trabajadores eran los siguientes: - Nombre, apellidos y correo personal del trabajador. - Número de cuenta bancaria del empleado. - Nómina con importes mensuales y diarios del trabajador. Aporta: - Escrito de reclamación ante la AEPD, con fecha de 27 de julio de 2023; - Imagen de la aplicación dónde aparece el nombre, apellidos y el correo electrónico personal de la parte reclamante; - Imagen con el número de cuenta bancaria del reclamante; - Imagen con la ganancia bruta del reclamante, y algunos importes diarios, desde el 01/07/2023; - Correo electrónico de RRLL de la empresa matriz (Servinform) informando sobre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/23 sistema de la plataforma externa de nóminas, con fecha de 19/07/2023. Este correo va dirigido a distintos comités de empresa provinciales de Diagonal (Valencia, Barcelona, Madrid, Almería, A Coruña y Sevilla), (…); - Correo electrónico de la empresa externa al correo personal de la reclamante para darle la bienvenida y explicarle el proceso de alta, con fecha de 20/07/2023; incluye el texto siguiente: “Hola… (nombre y apellidos de la parte reclamante), Deberías de haber recibido un correo electrónico sobre nosotros de tu empresa, Servinform, pero en caso de que no lo hayas recibido - Somos Wagestream! Tu nuevo beneficio social corporativo Nuestro objetivo es ayudarte a mejorar tus finanzas, permitiéndote adelantarte hasta el 40% de tu sueldo ya trabajado, instantáneamente y cuando quieras Descárgatela gratis aquí (incluye enlace para descargar la app) Cómo empezar Descarga nuestra aplicación de Wagestream España, e inicia sesión con el siguiente usuario y contraseña (que podrás cambiar más tarde): Nombre de usuario… (dirección de correo de la parte reclamante) Contraseña… (contraseña predeterminada)”. - Correo electrónico de la parte reclamante a RRLL de la empresa matriz solicitando los datos cedidos a la empresa externa, con fecha de 20/07/2023; - Correo electrónico de RRLL de la empresa matriz, de fecha 24/07/2023, dirigido a los mismos destinatarios del correo de fecha 19/07/2023, antes indicados. En este correo, Servinform informa sobre la cancelación del servicio y los datos a los que accedió la empresa externa; - Correo electrónico de la parte reclamante solicitando las herramientas necesarias a las que accedió la empresa externa, así como la petición de remisión de la baja de sus datos, con fecha de 24/07/2023; - Correo electrónico de la parte reclamante a RRLL de la empresa matriz, de fecha 25/07/2023, advirtiendo de los datos a los que tuvo acceso la empresa externa. En este correo informa que, después de recibir el correo de WAGESTREAM, accedió a la aplicación y comprobó que disponían de los datos relativos a número de cuenta bancaria e importe de salario y nómina del trabajador, además del nombre completo, dirección de correo personal y DNI. - Folleto explicativo de funcionamiento e instalación de la plataforma externa; SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 25/08/2023 se dio traslado de dicha reclamación a las entidades Diagonal y Servinform, para que procediesen a su análisis e informasen a esta Agencia, en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 25/08/2023 como consta en el acuse de recibo que obra en el expediente. En fecha 22/09/2023 tuvieron entrada sendos escritos de respuesta de aquellas entidades, cuyo contenido es similar: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/23 - Servinform y Diagonal son empresas pertenecientes al mismo grupo empresarial, siendo la primera la empresa matriz. - Servinform, como empresa principal, proporciona servicios corporativos, entre ellos la gestión de recursos humanos, al resto de empresas del grupo empresarial, incluida Diagonal, actuando en calidad de Encargado del Tratamiento de los datos personales de personas empleadas en empresas del grupo empresarial (en escritos posteriores aportan copia del contrato marco de prestación de servicios intragrupo, entre los cuales de detalla la gestión de los servicios de recursos humanos e incluye clausulado de protección de datos de encargado del tratamiento, fechado el 01/01/2022). - El uso del correo electrónico personal de personas empleadas para comunicaciones de ámbito laboral es opcional para el empleado, y este dato se encuentra incluido en el portal de recursos humanos (común para todas las empresas del grupo empresarial) en el que el trabajador puede modificar o eliminar información de su perfil de empleado. - La incidencia acontecida y que origina la reclamación, ha sido puesta en conocimiento de la AEPD por Servinform a través del registro de brechas de seguridad el día 26/07/2023. Aportan copia del informe de Brecha de Seguridad enviado. - WAGESTREAM era un nuevo proveedor de Grupo Servinform, que iniciaba los servicios consistentes en proporcionar adelantos de salarios devengados al día al trabajador/a, proporcionando flexibilidad y posibilidad de acceso por el trabajador/a a su salario devengado casi cualquier día del mes. Se trata de un servicio opcional y que cada trabajador/a decide si opta por utilizarlo. - Manifiestan que el Proveedor superó el proceso de homologación, disponía de contrato de servicios, contrato para regular el encargo del tratamiento conforme al art. 28 RGPD, aportó “Informe sobre cumplimiento de los requisitos normativos en materia de protección de datos – esquema de EIPD”, superó y aportó evidencias necesarias en los cuestionarios de Protección de Datos Personales y cuestionario de Ciberseguridad. En este proceso participó: Asesoría Jurídica Grupo Servinform, CISO (responsable de Ciberseguridad), Delegado de Protección de Datos y Coordinador de Protección de Datos. En el citado informe se indica: “…En el inicio de la relación comercial, Wagestream únicamente tiene acceso a los datos esenciales de los empleados (nombre y apellidos, correo electrónico y código del empleado). Wagestream únicamente aloja estos datos en sus sistemas para permitir el proceso de automatización en el proceso de identificación de los empleados cuando estos se den de alta en la plataforma. En el marco de la relación con Servinform, las partes han acordado que sea Servinform quien envíe a sus empleados, a través del correo electrónico, la información de Wagestream y la posibilidad de descargarse la App y la contratación de los Servicios. En esta fase, Wagestream es considerado como el Encargado del Tratamiento. La base jurídica de legitimación que sustenta el tratamiento de los datos personales de los empleados es el interés legítimo descrito en el artículo 6.1.

1. f)RGPD…”. - El jueves día 20/07/2023 recibieron en Recursos Humanos correos electrónicos de empleados (aportan copia) que informan sobre la recepción de un correo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/23 presentación del servicio del Proveedor (WAGESTREAM) y del que no tienen conocimiento. Servinform inicia una investigación del incidente y se comprueba que el Proveedor ha realizado un envío a la base de datos de empleados de las empresas del Grupo Servinform, en contra de las instrucciones de Grupo Servinform. El mismo día 20 se contacta con el proveedor para pedir explicaciones sobre este envío, ya que no es lo que contractualmente se estableció entre las partes. El día 21 se tiene una reunión con carácter urgente con los servicios jurídicos del Proveedor y se expone que el Proveedor, actuando en calidad de Encargado del Tratamiento, no ha seguido las instrucciones del Responsable del Tratamiento. El lunes 24 de julio, se procede a la comunicación a los empleados afectados, incluyendo en el portal del empleado una comunicación (de obligada lectura) explicando la situación generada y la cancelación del servicio. Aportan copia del comunicado en el Informe de Brecha de Seguridad. El día 25 de julio se envía burofax al proveedor indicándole la cancelación definitiva del servicio y solicitándole un certificado de borrado de los datos a los que haya tenido acceso para la prestación de servicios como Encargado del Tratamiento. Se ordena eliminar definitivamente el acceso a datos personales por parte del Proveedor. Este borufax se reitera el 16 agosto. El día 22 de agosto se recibe certificado de borrado de datos personales emitido por el Proveedor WAGESTREAM (aportan copia como Anexo V del Informe de Brecha de Seguridad), con el siguiente contenido: “Según les informamos en el burofax enviado en fecha 17 de agosto de 2023, les confirmamos que, según requerido su burofax enviado con fecha 25 de julio de 2023, nuestro equipo de IT ya ha realizado el proceso de borrado total de los datos de carácter personal de sus empleados a los que hemos tenido acceso, exclusivamente, como Encargados del Tratamiento. El presente comunicado sirve como comunicación expresa y certificado de borrado de los datos a los que se ha tenido acceso por parte de Wagestream Spain, S.L.U. como Encargado del Tratamiento en la relación comercial con Servinform, S.A. Les recordamos, tal y como les indicábamos en nuestro burofax de fecha 28 de julio de 2023, que para aquellos usuarios de Servinform, S.A. que procedieron a descargarse la Plataforma Wagestream y aceptaron nuestros Términos y Condiciones (incluyendo la Política de Privacidad), no se ha procedido al borrado de sus datos personales. En estos supuestos, además de ser Wagestream Spain, S.L.U. el Responsable del Tratamiento, no es posible eliminar los datos por cumplimiento de los requerimientos en materia de Prevención del Blanqueo de Capitales y Financiación del Terrorismo.” - Respecto a las causas que han motivado la incidencia, manifiestan que fue por un uso indebido de los datos por parte del Proveedor, en contra de las instrucciones del Responsable del Tratamiento, y procedimientos establecidos para el servicio del Proveedor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/23 - Del informe de Brecha de Seguridad aportado se desprende lo siguiente: . Alcance: El informe de brecha de seguridad se emite para el incidente ocurrido en el envío por parte del proveedor Wagestream de correo electrónico a la plantilla de Grupo Servinform, el día 20/07/2023. El Grupo Servinform, además de DIAGONAL, lo constituyen las 5 empresas siguientes: Hispapost, S.A., Betan, S.A., Selling Insurance Company, S.L., Arteos Digital, S.L. y SVF Finance, S.L. . El número de empleados afectados es de 8118. TERCERO: Con fecha 09/10/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. Con fecha 28/12/2023, la entidad Servinform aportó copia de la autorización que le fue otorgada por Diagonal para subcontratar los servicios de WAGESTREAM. 2. Mediante escrito de fecha 08/03/2024, se solicita por la Inspección de Datos a Servinform copia del contrato de encargado de tratamiento suscrito por la misma con WAGESTREAM, así como de todas las instrucciones dadas a ésta en relación con los tratamientos de los datos relativos a los trabajadores de las empresas del grupo y la descripción del procedimiento de acceso por parte de WAGESTREAM a los datos de los empleados de las empresas del grupo. De la respuesta recibida se pone de manifiesto lo siguiente: - Aportan copia del contrato de prestación de servicios suscrito el día 15/12/2022 e incluye como anexo II el Acuerdo de Tratamiento de Datos Personales e informe sobre cumplimiento de los requisitos normativos en materia de protección de datos. - Aportan información y documentación del procedimiento de acceso a datos personales. El acceso a los datos de los empleados del Grupo Servinform por el proveedor WAGESTREAM, se realiza mediante un procedimiento de integración entre la aplicación de gestión de RRHH de Servinform, denominada “***APLICACIÓN.1”, y la aplicación de gestión de anticipo de nóminas, propiedad de WAGESTREAM. - Aportan copia de la “Guía Integración ***APLICACIÓN.1 y Wagestream”, en la que se recoge el diseño de la operativa para la integración de ambas aplicaciones y se especifica los procedimientos de alta, baja y modificación del servicio: . Como primer paso, el trabajador interesado deberá rellenar una presolicitud. Se especifica que este paso lo puede realizar el departamento de RRHH mediante un canal de comunicación propio o mediante el uso de una solicitud en el portal del empleado en la sección de solicitudes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/23 Una vez quede la solicitud validada y en el estado aceptada, la aplicación almacenara en la tabla “HISTORICO_WAGESTREAM” un registro de la fecha en la que se ha realizado el pre-registro. . El segundo paso consiste en el envío de los datos pre-registro del empleado a WAGESTREAM. Solamente se enviarán los datos de Código de empleado, Nombre y Email. Si se ha implementado la solicitud de pre-registro, solo se enviará información de aquellos trabajadores que tengan registrado en la tabla “HISTORICO_WAGESTREAM” una fecha de pre-registro. . En los pasos del 3 al 7 el empleado realiza el proceso de alta en la aplicación de WAGESTREAM. Con sus escritos de respuesta, entre otra documentación, Servinform aportó copia de las comunicaciones mantenidas con WAGESTREAM mediante correo electrónico, una vez fue comunicada la incidencia a Servinform por los trabajadores el mismo día 20/07/2023. Se destacan los siguientes: . Correo electrónico remitido por WAGESTREAM a Servinform, de fecha 20/07/2023, a las 15:25 horas, con el siguiente texto: “Te escribo para confirmar que Servinform ahora mismo está Live en el sistema. Aprovecho para preguntarte si el documento de lectura obligada ya se encuentra en la intranet…”. . Correo electrónico remitido por Servinform a WAGESTREAM, de fecha 20/07/2023, a las 15:29 horas, con el siguiente texto: “No, os avisé en el email anterior que os confirmaba la publicación. Teníais que esperar a que os diéramos el ok. Vamos a publicar ahora porque nos están enviando un montón de emails preguntando si es fake”. . Correo electrónico remitido por WAGESTREAM a Servinform, de fecha 20/07/2023, a las 15:38 horas, con el siguiente texto: “Efectivamente estábamos esperando vuestra confirmación, sin embargo esta mañana hemos recibido solicitudes para darse de alta en la aplicación por parte de empleados de Servinform. Por esta razón procedimos con el proceso. Discúlpanos, esto nos hizo pensar que la comunicación se había enviado…”. . Correo electrónico remitido por Servinform a WAGESTREAM, de fecha 20/07/2023, a las 17:07 horas, con el siguiente texto: “Pero quién ha autorizado que vosotros mandéis email a la plantilla?? Qué emails habéis cogido, personales? Los de las fichas?... Quedamos en que la comunicación era vía portal del empleado con la publicación de obligada lectura por parte de toda la plantilla…”. . Correo electrónico remitido por WAGESTREAM a Servinform, de fecha 20/07/2023, a las 17:32 horas, con el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/23 “Disculpa por la confusión. No se han mandado emails de comunicación como acordamos, lo que han recibido son las credenciales (usuario y contraseña), ya que es la única forma de darse de alta. La única comunicación que los trabajadores reciban será la vuestra, ninguna por nuestra parte…”. . Correo electrónico remitido por Servinform a WAGESTREAM, de fecha 20/07/2023, a las 17:46 horas, con el siguiente texto: “Pero a quién habéis enviado este email? En base al contrato podéis tener acceso pero siguiendo nuestras instrucciones, y no ha sido así. El uso está permitido pero os habéis saltado lo acordado. Svf debe explicar que sois un proveedor y un servicio que pone a disposición SVF a sus empleados y que es voluntario. Un trabajador recibe este email y lo primero que piensa en este contexto es que SVF ha cedido sus datos personales sin su consentimiento a un tercero con las consecuencias que pueda haber y vamos a tener que gestionar, en concreto, nuestro Dpto de Asesoría Jurídica. En el email adjunto, efectivamente, viene usuario y contraseña pero nunca se nos ha indicado que se iba a mandar nada de forma colectiva. Entiendo que las direcciones las habéis cogido de ***APLICACIÓN.1, no? La semana pasada, previo a este lanzamiento habéis pasado una evaluación de seguridad y de protección de datos en el que se aportaba un informe sobre el servicio donde se marcaba como requisito previo a lanzamiento la información expresa de SVF a sus empleados”. . Correo electrónico remitido por WAGESTREAM a Servinform, de fecha 20/07/2023, a las 18:06 horas, con el siguiente texto: “…En efecto vosotros sois quienes explican del servicio en vuestra intranet como está indicado en el documento…”. 3. En fecha 29/4/2024 se solicita por la Inspección de Datos a WAGESTREAM información y documentación en relación con los hechos reclamados, teniendo entrada en esta Agencia un escrito de respuesta en el que el representante de la entidad pone de manifiesto lo siguiente: - WAGESTREAM es una plataforma tecnológica que ha creado un programa financiero que facilita a los empleados de sus clientes el acceso al salario flexible de forma instantánea. - WAGESTREAM suscribió un contrato con el Grupo Servinform en virtud del cual aquella entidad se comprometía a poner a disposición del Grupo Servinform la plataforma y App “Wagestream” (la “App Wagestream”) a los efectos de que sus empleados pudieran acceder al salario devengado de forma inmediata y al resto de funcionalidades del sistema Wagestream. Una vez firmado el contrato, WAGESTREAM inició el proceso de integración tecnológica en los sistemas del Grupo Servinform con la finalidad de poder prestar los servicios a sus empleados. El proceso de integración fue complejo y, finalmente, la “App Wagestream” se activó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/23 durante el mes de julio de 2023. Sin embargo, por cuestiones comerciales ajenas a WAGESTREAM, desde Grupo Servinform se solicitó la suspensión de los servicios y el día 21/07/2023 la “App Wagestream” deshabilitó las funcionalidades y no permitía realizar solicitudes. Unos días después, el 26/07/2023, la “App de Wagestream” fue totalmente desactivada y ningún empleado del Grupo Servinform tiene ni ha tenido acceso a los servicios de WAGESTREAM desde ese momento. El Grupo Servinform fue el encargado de comunicar a sus empleados la existencia de los servicios de WAGESTREAM y la posibilidad de acceder al sistema de salario flexible de forma inmediata. Una vez comunicada esta situación por el Grupo Servinform, sus empleados podían acceder al sistema descargando en su teléfono Smartphone la “App Wagestream”, a través de los repositorios de aplicaciones. - En el momento en que cualquier empleado descarga la “App Wagestream”, los pasos para poder acceder al sistema son los siguientes: 1. Iniciar sesión; 2. Introducir el correo electrónico; 3. Introducir contraseña en caso de que ya se haya accedido con anterioridad; o bien, solicitar una contraseña nueva si se trata de un primer acceso o se ha olvidado de la contraseña; 4. Aceptar los “Términos y Condiciones”, entre los que se encuentra (
2. i)la Política de Protección de Datos y (
3. ii)el consentimiento expreso a la cesión de determinados datos personales; y, 5. Acceder, finalmente, al perfil del usuario/empleado Únicamente cuando el empleado acepta los “Términos y Condiciones” de WAGESTREAM tiene acceso a los datos personales. Aportan imágenes del proceso de alta de un terminal móvil, de las que se desprende que, tras introducir el identificador de usuario y la contraseña, aparece un botón para aceptar las condiciones e inscribirse. - Aportan copia de los “Términos y Condiciones” que deben aceptar expresamente los empleados, en cuya Cláusula 14 el empleado autoriza expresamente: “a su Empleador para que comparta su información laboral y otros datos personales con nosotros, en la medida en que sea necesario, para permitir